配置防护策略

防护动作概览

防护动作是指WAF在检测到请求命中防护规则设置的过滤条件时，采取的一系列措施。相同条件的防护规则仅支持配置一个防护动作。

WAF防护检测优先级仅与防护规则类型相关，但在配置防护动作时，需统筹规划防护规则的检测优先级和对应防护动作，避免高优先级规则因防护动作配置不当，影响低优先级规则的检测。例如，地理位置访问控制规则中，若某地域IP防护动作被配置为放行，则该地域所有请求直接通过，且不再执行后续规则检测。

WAF支持配置如下防护动作：

• 仅记录

  WAF检测到请求命中防护规则设置的条件时，不会采取任何行动，只是将这些活动记录下来，用于安全团队后续分析和审查。

  网站接入WAF后，WAF默认开启“Web基础防护”中的“常规检测”和“网站反爬虫”的“扫描器”检测，“防护动作”均配置为“仅记录”。如果您对自己的业务流量特征还不完全清楚，建议先保持仅记录模式进行观察，然后分析该模式下的攻击日志，配置有针对性的防护规则。

• 拦截

  WAF检测到请求命中防护规则设置的条件时，拦截当前请求，并停止后续规则的检测。

  防护动作配置为拦截时，可设置攻击惩罚规则，对访问者的IP、Cookie或Params的长时间拦截规则、短时间拦截规则，使得WAF自动封禁访问者。

• 放行

  WAF检测到请求命中防护规则设置的条件时，放行当前请求，并停止后续规则的检测。

• JS挑战

  WAF检测到请求命中防护规则设置的条件时，会向客户端返回一段正常浏览器可以自动执行的JavaScript代码。如果客户端正常执行了JavaScript代码，则WAF在Token有效期内放行该客户端的所有请求（不需要重复验证），否则拦截请求。

• 动态拦截

  在CC攻击防护规则中，如果在一个限速周期内，访问超过“限速频率”触发了拦截，那么，在下一个限速周期内，WAF会根据“放行频率”进行拦截。

  例如，“限速频率”为每60秒允许10次访问，“放行频率”为每60秒允许5次访问时，表示前60秒内，访问次数超过10次后，访问被拦截，在下一个60秒时，访问次数超过5次，就会被拦截。

• 人机验证

  在CC攻击防护规则中，如果访问超过“限速频率”，就会弹出验证码，进行人机验证。完成验证后，请求将不受限制。如果验证未通过，会按照“锁定时间”，限制访问。